PT-2026-47711 · WordPress · Events Calendar For Geodirectory
Nguyen Hung
·
Publicado
2026-06-09
·
Atualizado
2026-06-10
·
CVE-2026-11616
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
The Events Calendar for GeoDirectory plugin for WordPress versões anteriores a 2.3.29
Descrição
Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem elevar seus privilégios para Administrador. Isso ocorre porque o manipulador
ajax ayi action() não utiliza uma lista de permissões (allow-list) ao processar as variáveis type e postid do array $ POST, aplicando apenas strip tags(esc sql()) antes de passá-las para a função update ayi data(). Esta função, por sua vez, chama update user meta(), permitindo que um atacante escreva ['subscriber'=>true,'administrator'=>'administrator'] em seu próprio meta de usuário wp capabilities ao definir type como wp capabilities e postid como administrator. Consequentemente, o WP User::get role caps() reconhece a chave administrator como uma função ativa na requisição seguinte.Recomendações
Atualize o plugin para uma versão posterior a 2.3.28.
Correção
LPE
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Events Calendar For Geodirectory